镜像体积直降 70%：Maven + Jib 构建 Docker 镜像并推送华为云 SWR

💡 摘要: 接续 CodeArts Pipeline 流水线，深入 Maven 构建 Docker 镜像的最佳实践。从 Jib 插件配置、Dockerfile 优化、多架构构建（X86 + 鲲鹏 ARM64）到 SWR 镜像仓库推送，最终融入 CodeArts Pipeline 实现代码提交到镜像推送的全自动化。包含 3 组 Dockerfile 模板和镜像体积优化对比数据。

本文由华为云开发者社区博主原创，遵循华为云社区内容发布规范。

💬 互动：你在使用 Jib 构建 Docker 镜像时遇到过什么坑？华为云 SWR 的镜像加速效果怎么样？欢迎分享你的经验！

🎯 从构建到镜像的最后一公里

云原生实战系列全链路回顾

第1篇我们体验了 AI 编码，第2篇搭建了流水线。但第2篇的 Pipeline 中有一个关键环节没有展开——Maven 怎么生成 Docker 镜像？

这就是第3篇的核心：打通「Maven 构建」到「Docker 镜像」的最后一公里。

传统镜像构建的 5 个痛点

☁️ 华为云架构：从 Maven 到 SWR 镜像

🇨🇳 国产化适配：鲲鹏 ARM64 镜像构建

华为云 SWR 镜像仓库原生支持多架构镜像，一个镜像标签可以同时包含 X86 和 ARM64 版本：

推荐: 使用华为云 SWR 公共镜像仓库作为基础镜像源：

swr.cn-north-4.myhuaweicloud.com/public_images/eclipse-temurin:17-jre

延迟降低 80%+，无需担心 Docker Hub 限流。

🔧 Jib 插件实战（推荐方案）

为什么首选 Jib？

快速配置：5 分钟接入 SWR

<!-- pom.xml — Jib 插件配置 -->
<project>
  <properties>
    <jib.version>3.4.4</jib.version>
    <swr.region>cn-north-4</swr.region>
    <swr.namespace>your-namespace</swr.namespace>
    <swr.image>swr.${swr.region}.myhuaweicloud.com/${swr.namespace}/demo-app</swr.image>
  </properties>

  <build>
    <plugins>
      <plugin>
        <groupId>com.google.cloud.tools</groupId>
        <artifactId>jib-maven-plugin</artifactId>
        <version>${jib.version}</version>
        <configuration>
          <!-- 基础镜像：华为云 SWR 公共镜像（国内加速） -->
          <from>
            <image>swr.${swr.region}.myhuaweicloud.com/public_images/eclipse-temurin:17-jre</image>
            <!-- 多架构支持：同时构建 X86 + 鲲鹏 ARM64 -->
            <platforms>
              <platform>
                <architecture>amd64</architecture>
                <os>linux</os>
              </platform>
              <platform>
                <architecture>arm64</architecture>
                <os>linux</os>
              </platform>
            </platforms>
          </from>

          <!-- 目标镜像：推送到 SWR -->
          <to>
            <image>${swr.image}</image>
            <tags>
              <tag>${project.version}</tag>
              <tag>${maven.build.timestamp}</tag>
              <tag>latest</tag>
            </tags>
            <auth>
              <username>${swr.region}@${swr.ak}</username>
              <password>${swr.sk}</password>
            </auth>
          </to>

          <!-- 容器配置 -->
          <container>
            <ports>
              <port>8080</port>
              <port>8443</port>
            </ports>
            <environment>
              <SPRING_PROFILES_ACTIVE>prod</SPRING_PROFILES_ACTIVE>
              <TZ>Asia/Shanghai</TZ>
              <JAVA_TOOL_OPTIONS>-Xms512m -Xmx2g -XX:+UseG1GC</JAVA_TOOL_OPTIONS>
            </environment>
            <jvmFlags>
              <jvmFlag>-Xms512m</jvmFlag>
              <jvmFlag>-Xmx2g</jvmFlag>
              <jvmFlag>-XX:+UseG1GC</jvmFlag>
              <jvmFlag>-Djava.security.egd=file:/dev/./urandom</jvmFlag>
            </jvmFlags>
            <mainClass>com.example.DemoApplication</mainClass>
            <user>1000:1000</user>  <!-- 非 root 运行 ✅ -->
            <creationTime>USE_CURRENT_TIMESTAMP</creationTime>
          </container>

          <!-- 缓存加速 -->
          <containerizingMode>packaged</containerizingMode>
          <cacheDirectory>${user.home}/.m2/jib-cache</cacheDirectory>
        </configuration>

        <executions>
          <execution>
            <phase>package</phase>
            <goals>
              <goal>build</goal>
            </goals>
          </execution>
        </executions>
      </plugin>
    </plugins>
  </build>
</project>

执行构建

# 1. 设置 SWR 认证信息（建议用环境变量，不要硬编码 ❌）
export SWR_AK="你的AccessKey"
export SWR_SK="你的SecretKey"

# 2. 构建并推送镜像到 SWR（一行命令 🚀）
mvn clean package -DskipTests

# 3. 验证镜像
# 在华为云 SWR 控制台可见：
# swr.cn-north-4.myhuaweicloud.com/your-ns/demo-app:1.0.0

执行效果：

[INFO] --- jib:build ---
[INFO] Containerizing application with Jib...
[INFO] Retrieving registry credentials...
[INFO] Base image: swr.cn-north-4.myhuaweicloud.com/public_images/eclipse-temurin:17-jre
[INFO] Building dependencies layer...
[INFO] Building resources layer...
[INFO] Building classes layer...
[INFO] Finalizing: Adding 3 layers...
[INFO] Pushing image to swr.cn-north-4.myhuaweicloud.com/your-ns/demo-app:1.0.0
[INFO] Pushed in 12.3s ✅

增量构建（二次构建）

# 只改了一行代码，再次构建
mvn clean package -DskipTests

🐳 Dockerfile 方案（灵活定制）

如果你需要更精细的控制，或使用特定的基础镜像，Dockerfile 方案仍是不可替代的。

多阶段构建 Dockerfile 模板

# ======================================
# 阶段 1：构建阶段
# ======================================
FROM maven:3.9.6-eclipse-temurin-17 AS builder

WORKDIR /build

# 1. 先拷贝 POM 文件，利用 Docker 缓存
COPY pom.xml .
COPY src/main/resources/application*.yml ./src/main/resources/

# 2. 下载依赖（只依赖 pom.xml，缓存层稳定）
RUN mvn dependency:go-offline -B

# 3. 拷贝源码并编译
COPY src ./src
RUN mvn clean package -DskipTests -B

# ======================================
# 阶段 2：运行阶段（最小化镜像）
# ======================================
FROM eclipse-temurin:17-jre-alpine

# 安全：创建非 root 用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app

# 从构建阶段拷贝 JAR
COPY --from=builder /build/target/*.jar app.jar

# 时区配置
RUN apk add --no-cache tzdata && \
    cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && \
    echo "Asia/Shanghai" > /etc/timezone

# 安全：非 root 运行
USER appuser

# 端口暴露
EXPOSE 8080

# 健康检查
HEALTHCHECK --interval=30s --timeout=5s --retries=3 \
  CMD wget -qO- http://localhost:8080/actuator/health || exit 1

# 启动命令
ENTRYPOINT ["java", \
  "-Djava.security.egd=file:/dev/./urandom", \
  "-Dspring.profiles.active=${SPRING_PROFILES_ACTIVE:-prod}", \
  "-jar", "app.jar"]

Dockerfile 关键优化点

镜像体积优化前后对比

🔗 集成 CodeArts Pipeline（第2篇 ↔ 第3篇）

在 Pipeline 中调用 Jib 构建

回顾第2篇的 Pipeline 配置，现在把镜像构建阶段完善：

# pipeline.yml — 第2篇流水线中的镜像构建阶段
version: 2.0
name: maven-build-deploy

stages:
  - name: 编译构建
    steps:
      - checkout: { }
      - maven:
          name: Maven 构建 + 镜像推送 ❗
          inputs:
            # 关键：用 jib:build 替代 package
            command: >
              mvn clean compile jib:build 
              -DskipTests 
              -Dswr.ak=${SWR_AK}        # 从凭据管理注入
              -Dswr.sk=${SWR_SK}
            settings: huawei-maven
            cache: true

  - name: 部署
    steps:
      - cce_deploy:
          name: 部署到 CCE
          inputs:
            cluster: your-cce-cluster
            namespace: development
            workload: demo-app
            # 使用 Jib 推送的镜像
            image: swr.cn-north-4.myhuaweicloud.com/your-ns/demo-app:${BUILD_NUMBER}
            strategy: rollingUpdate

凭据管理（安全实践）

在 Pipeline 中，认证信息通过华为云凭据管理服务注入，绝不在代码中硬编码：

# CodeArts Pipeline 环境变量配置
environment:
  # 从华为云凭据管理服务（CSE）获取
  SWR_AK: ${SECRET_SWR_ACCESS_KEY}
  SWR_SK: ${SECRET_SWR_SECRET_KEY}
  DB_PASSWORD: ${SECRET_DB_PASSWORD}

❌ 绝对不要：

# pom.xml 中写死密码
<password>my-secret-key-123</password>

✅ 正确做法：

# 使用环境变量引用
<password>${swr.sk}</password>
# 在 Pipeline 中通过凭据管理注入

🔒 镜像安全最佳实践

SWR 镜像安全扫描

华为云 SWR 提供内置镜像安全扫描，每次推送自动触发：

# 手动触发扫描
# 控制台操作：SWR → 镜像仓库 → 安全扫描

# 或通过 CLI
hcloud swr scan-image --image-name demo-app:1.0.0

镜像签名与完整性验证

# 华为云 SWR 支持镜像签名
hcloud swr sign-image \
  --image-name demo-app:1.0.0 \
  --key-alias your-key
  
# 部署时验证签名
hcloud swr verify-image \
  --image-name demo-app:1.0.0

⚠️ 常见问题与踩坑实录

踩坑 1: Jib 认证失败 “401 Unauthorized”

现象：

[ERROR] Failed to execute goal com.google.cloud.tools:jib-maven-plugin:3.4.4:build 
(default-cli): Unauthorized for swr.cn-north-4.myhuaweicloud.com/your-ns/demo-app 
- 401 Unauthorized

原因：SWR 认证信息错误或过期

解决方案：

# 1. 获取正确的 AK/SK
# 华为云控制台 → 我的凭证 → 访问密钥

# 2. 设置环境变量
export SWR_AK="你的AccessKey"
export SWR_SK="你的SecretKey"

# 3. 注意：SWR 用户名格式为 "区域@AK"
# 例如：cn-north-4@ABCDEFGHIJKLMN

# 4. 测试认证
echo -n "cn-north-4@${SWR_AK}:${SWR_SK}" | base64
# 可解码验证是否正确

踩坑 2: ARM64（鲲鹏）构建报错

现象：

[ERROR] 
Manifest for eclipse-temurin:17-jre does not contain manifest for linux/arm64

原因：基础镜像不支持 ARM64 架构

解决方案：

<!-- 使用支持多架构的基础镜像 -->
<from>
  <!-- 推荐：Eclipse Temurin 官方支持多架构 -->
  <image>eclipse-temurin:17-jre</image>
  <platforms>
    <platform>
      <architecture>arm64</architecture>
      <os>linux</os>
    </platform>
  </platforms>
</from>

踩坑 3: 镜像推送超时

现象：Jib push 步骤卡住 5 分钟以上

原因：网络问题或基础镜像过大

解决方案：

<!-- 1. 使用华为云 SWR 公共镜像作为基础镜像源 -->
<from>
  <image>swr.cn-north-4.myhuaweicloud.com/public_images/eclipse-temurin:17-jre</image>
</from>

  <!-- 2. 增加 Jib 超时时间 -->
<configuration>
<jibTimeout>60000</jibTimeout>  <!-- 60s -->
</configuration>

踩坑 4: Spring Boot 启动报错 “no main manifest”

现象：

Error: Unable to access jarfile app.jar
或
no main manifest attribute, in app.jar

原因：Dockerfile 中使用了 target/*.jar，但 Spring Boot 的胖 JAR 和普通 JAR 都匹配

解决方案：

# ❌ 错误：匹配到多个文件
COPY --from=builder /build/target/*.jar app.jar

# ✅ 正确：指定具体文件名
COPY --from=builder /build/target/demo-app-*.jar app.jar

# ✅ 更好：利用 Spring Boot Maven Plugin 重打包后的文件名
COPY --from=builder /build/target/*.jar app.jar
RUN ls -la /app/ && \
    # 如果匹配到多个 jar，只保留 executable 版本
    if [ $(ls /app/*.jar | wc -l) -gt 1 ]; then \
    rm /app/*.jar.original 2>/dev/null || true; \
    fi

踩坑 5: 本地构建正常，Pipeline 构建失败

现象：本地 mvn compile jib:build 成功，CodeArts Pipeline 中失败

检查清单：

常见原因：Pipeline 的环境变量未正确注入。检查 环境变量 配置中的 ${SWR_AK} 和 ${SWR_SK} 是否在凭据管理中正确配置。

📊 性能数据：全链路构建效率

从代码提交到镜像推送（完整链路）

Jib vs Dockerfile 构建性能对比

镜像体积优化对比（Spring Boot Web 应用）

❓ 常见问题 FAQ

Q1: Jib 和 Dockerfile 可以混用吗？

问题：项目已经在用 Dockerfile 构建，能否逐步迁移到 Jib，或者两者共存？

解答：

可以共存。Jib 和 Dockerfile 不是互斥关系，同一项目可以同时支持两种构建方式：

<!-- 同时保留两种构建方式，通过 profile 切换 -->
<profiles>
  <profile>
    <id>jib</id>
    <activation>
      <activeByDefault>true</activeByDefault>
    </activation>
    <build>
      <plugins>
        <plugin>
          <groupId>com.google.cloud.tools</groupId>
          <artifactId>jib-maven-plugin</artifactId>
          <!-- Jib 配置... -->
        </plugin>
      </plugins>
    </build>
  </profile>
  <profile>
    <id>docker</id>
    <build>
      <plugins>
        <plugin>
          <groupId>io.fabric8</groupId>
          <artifactId>docker-maven-plugin</artifactId>
          <!-- Dockerfile 构建配置... -->
        </plugin>
      </plugins>
    </build>
  </profile>
</profiles>

# Jib 构建（默认）
mvn clean package

# Dockerfile 构建
mvn clean package -Pdocker

建议：新项目直接用 Jib，存量项目逐个迁移。Jib 不依赖 Docker daemon，在 CI 环境中更稳定。

Q2: Jib 构建的镜像如何本地运行调试？

问题：Jib 直接推送镜像到 SWR，本地想跑起来看看效果怎么办？

解答：

Jib 可以直接构建到本地 Docker daemon，使用 jib:dockerBuild 目标：

# 构建到本地 Docker（不推送 SWR）
mvn compile jib:dockerBuild -DskipTests

# 指定镜像标签
mvn compile jib:dockerBuild -DskipTests -Djib.to.tags=dev

# 本地运行
docker run --rm -p 8080:8080 demo-app:dev

注意：jib:dockerBuild 需要本地有 Docker daemon，而 jib:build 不需要。CI 环境推荐用 jib:build。

Q3: SWR 镜像仓库如何清理旧版本镜像？

问题：每次构建都推送一个新版本，SWR 仓库里镜像越来越多，怎么自动清理？

解答：

华为云 SWR 提供生命周期管理策略，自动清理过期镜像：

# 方式一：控制台设置生命周期规则
# SWR → 镜像仓库 → 管理 → 生命周期
# 规则示例：保留最近 30 天的镜像，超过自动清理

# 方式二：通过 CLI 设置
hcloud swr create-retention \
  --repo-name demo-app \
  --retention-pattern "{
    \"rules\": [
      {\"tagPattern\": \"*\", \"days\": 30, \"count\": 10}
    ]
  }"

推荐的镜像保留策略：

建议：在 Pipeline 中配置 mvn clean package 推送时使用版本号标签 + latest，不要用时间戳标签推生产环境。

Q4: 多架构镜像在运行时如何选择对应架构？

问题：同时推送了 amd64 和 arm64 的镜像，K8s 集群里有 X86 节点也有鲲鹏节点，Pod 会拉取错误的架构吗？

解答：

不会。多架构镜像清单（Manifest List） 会自动匹配节点架构：

# 查看多架构清单
docker manifest inspect swr.cn-north-4.myhuaweicloud.com/your-ns/demo-app:1.0.0

# 输出示例
{
  "mediaType": "application/vnd.docker.distribution.manifest.list.v2+json",
  "manifests": [
    {
      "platform": {"architecture": "amd64", "os": "linux"},
      "digest": "sha256:a1b2c3..."
    },
    {
      "platform": {"architecture": "arm64", "os": "linux"},
      "digest": "sha256:d4e5f6..."
    }
  ]
}

关键：Jib 配置了多架构后，CCE/K8s 集群中 X86 节点拉取 amd64 版本，鲲鹏节点拉取 arm64 版本，完全自动。只需要确保基础镜像同时支持 amd64 和 arm64（如 eclipse-temurin:17-jre）。

Q5: Jib 构建时如何跳过测试？

问题：mvn clean package 会执行测试，但 Jib 构建镜像时不需要跑测试，如何加速？

解答：

Jib 构建绑定在 package 阶段，默认会触发测试。跳过测试有三种方式：

# ✅ 推荐方式：直接执行 jib:build（不触发 package 阶段）
mvn clean compile jib:build -DskipTests

# 对比：package 方式会先执行 test -> package -> jib:build
mvn clean package -DskipTests                         # 跳过测试但跑完 package
mvn clean compile jib:build -DskipTests               # 编译完直接构建镜像 ⚡更快

建议：在 CodeArts Pipeline 中使用 mvn clean compile jib:build -DskipTests，将测试放在独立的测试阶段执行，职责更清晰，也方便定位问题。

📝 总结与展望

本文总结

要点总结：

1. ✅ Jib 插件配置 — 一行命令完成 Maven → Docker 镜像
2. ✅ Dockerfile 多阶段构建 — 优化镜像体积（477MB → 105MB）
3. ✅ 多架构构建 — X86 + 鲲鹏 ARM64 双架构支持
4. ✅ SWR 镜像推送 — 安全认证 + 镜像扫描 + 签名
5. ✅ CodeArts Pipeline 集成 — 第2篇 → 第3篇全链路自动化
6. ✅ 踩坑修复 — 5 个高频问题解决方案

下篇预告

第4篇：从镜像到上线：华为云 CCE 部署 Java 微服务实战

创建 CCE 集群、配置 Deployment/Service/Ingress、滚动更新、弹性伸缩——将第3篇构建的镜像真正跑起来！

关键收获

镜像构建时间从 45 秒降至 12 秒，镜像体积减少 78%，且支持同时构建 X86 和 ARM64 双架构。

👍 互动引导

1. 你目前在用哪种方式构建 Docker 镜像？Jib / Dockerfile / 其他？欢迎分享！
2. 你的 Java 镜像体积多大？来评论区晒一晒，看谁的镜像最轻量！
3. 如果本文对你有帮助，请点赞收藏，让更多开发者看到 🙏

专栏导航

• 第1篇：华为云码道 CodeArts 安装配置实战
• 第2篇：告别手动部署：华为云 CodeArts Pipeline 搭建 CI/CD 流水线实战
• 第3篇：镜像体积直降 70%：Maven + Jib 构建镜像推送华为云 SWR ← 当前
• 第4篇：从镜像到上线：华为云 CCE 部署 Java 微服务实战

本文由华为云开发者社区博主原创，遵循华为云社区内容发布规范。